Многомесячный ВИРУС!!! (блокировка СейфМод, Диспт.задач и др)

Здравствуйте!
Вот уже не один месяц мучают меня (а вернее мой комп) различные зловредители! Стоит уже больше года NOD32, но назрело решение координально менять антивирус! Периодически Нода находит и вроде как удаляет различные трояны, черви и прочую нечисть, но также с постоянством они плодятся и проявляются вновь и вновь... Элементраный md.exe регулярно в корневых на всех дисках появляется, и только недавно Нода решила на него заругаться... Возможно всё началось ещё осенью, когда на раб.столе "всплыл" СМС-банер, а возможно и раньше... не знаю... Но сейчас уже порядком всё надоело, поскольку уже всё перепробывал самостоятельно и нет результатов - решил обратиться к вам.

Во первых:
загрузка в Сейф Мод уже давно для этого компа стала НЕреальностью... Поэтому по инструкции выполнить лечение в безоп. режиме не могу!
Во вторых:
недавно (до кучи) кнопка диспетчера задач из менюшки, которую вызываю по трём весёлым клавишам - стала НЕактивной. Что то и ещё есть, но это уже мелочи. Диспетчер задач - моя основная головная боль, поскольку теперьь что происходит в системе, кто или что её грузит - я не могу узнать и не могу ничего отключить...
Прошу помощи!!!

С уважением.

1. Пожалуйста, выполните скрипт AVZ:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('\Program Files\DAEMON Tools Pro\Engine.dll', 'CHQ=N');
QuarantineFile('Mspisrrv.sys', 'CHQ=N');
QuarantineFile('D:\Setup\Orbitdownloader\GrabPro.dll', 'CHQ=N');
QuarantineFile('D:\Setup\Orbitdownloader\orbitcth.dll', 'CHQ=N');
QuarantineFile('C:\WINDOWS\System32\netprotocol.dll', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\Drivers\FABulk.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\System32\Drivers\Parclass.sys', 'CHQ=N');
QuarantineFile('C:\DOCUME~1\F240~1\LOCALS~1\Temp\Rar$EX00.438\ЏгўҐа Љ*«Є\winio.sys', 'CHQ=N');
QuarantineFile('C:\Documents and Settings\Я\Local Settings\Application Data\RadioSure\RadioSure.exe', 'CHQ=N');
QuarantineFile('C:\Program Files\Internet Explorer\romdrivers.dll', 'CHQ=N');
QuarantineFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL', 'CHQ=N');
QuarantineFile('C:\Program Files\Auslogics\AusLogics BoostSpeed\Integrator.exe', 'CHQ=G');
BC_QrFile('D:\Setup\Orbitdownloader\GrabPro.dll');
BC_QrFile('D:\Setup\Orbitdownloader\orbitcth.dll');
BC_QrFile('C:\WINDOWS\System32\netprotocol.dll');
BC_QrFile('C:\WINDOWS\system32\Drivers\FABulk.sys');
BC_QrFile('C:\DOCUME~1\F240~1\LOCALS~1\Temp\Rar$EX00.438\ЏгўҐа Љ*«Є\winio.sys');
BC_QrFile('C:\Program Files\Internet Explorer\romdrivers.dll');
BC_QrFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта компьютер перезагрузится.
2. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить [URL]http://virusinfo.info/index.php?page=uploadclean[/URL]

1-Скрипт выполнен.

2-Выслан карантин: "Virus.zip" Результат загрузки
Файл сохранён как 100225_173036_virus_4b86898cf2ab4.zip
Размер файла 558294
MD5 f764622fae75a9dd2a48e4d5b1f7c0d8

3-Выслан "Автоматический сбор файлов для AVZ":
Результат загрузки
Файл сохранён как 100225_174654_virusinfo_files_DVD_4b868d5e03870.zip
Размер файла 15236846
MD5 17277ad8983ceaf3338390fc3b303a19
Файл закачан, спасибо!

Выполнен и прикреплён новый лог "hijackthis.log"

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
DelBHO('{00000000-6E41-4FD3-8538-502F5495E5FC}');
DeleteFile('C:\WINDOWS\System32\netprotocol.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
DeleteFile('C:\Program Files\Ask.com\GenericAskToolbar.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(10);
ExecuteREpair(11);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]Пофиксте[/url] в HijackThis следующие строки:
[quote]
F2 - REG:system.ini: F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O2 - BHO: MyCentria Internet Mate v1.95 - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL (file missing)
[/quote]
Сделайте новый лог HijackThis.

Выполните в AVZ скрипт [url=http://df.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите сюда файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления (на MS Office должен быть установлен Service Pack 3).

[B]thyrex[/B], скрипт не проходит, выдаётся сообщение: "Ошибка: ';' expected в позиции 7:13"

[B]AndreyKa[/B], пофикстил в HijackThis предложенные строки: F2.... и O2.....
Приложение: логи HijackThis и AVZ
(в AVZ был запущен скрипт ScanVuln.txt)
... также произвёл попытку обновления MS Office Servic Pack' ом 3

ПРоблема решена?

[B]AndreyKa[/B], Да как же "решена"???
Всё только усугубляется по моему...
По прежнему диспетчер задач не активен, а значит что происходит - один Бог ведает...
Сэйф Моде не существует (ну да виг с ним уже)...
Главное - беглый запуск AVZ доказывает, что "зло живее всех живых":
Функция NtCreateKey (29) перехвачена (806222D2->BA6B50E0), перехватчик sprr.sys
.................
Функция ... и т.д ... т.д... т.д...
.............(B1) перехвачена (8062038C->BA6CE08A), перехватчик sprr.sys
Проверено функций: 284, перехвачено: 7, восстановлено: 0

А беглый взгляд на папку "Temp" из "C:\Documents and Settings\.....темp" падает на некий qktvkj.exe файлик... Переименование его через F2 выбрасывает в другие temp'овские папки, но удаление прошло...

Сделать ещё проверки?

самостоятельно выполнен скрипт "Лечения/карантина и сбора информации для..."
ЛОг прилагается.

[QUOTE='Wet2007;593818']thyrex, скрипт не проходит, выдаётся сообщение: "Ошибка: ';' expected в позиции 7:13"[/QUOTE]Прошу прощения.
Скрипт в [URL="http://virusinfo.info/showpost.php?p=593715&postcount=4"]сообщении №4[/URL] поправил. Выполняйте

Изменённый скрипт в сообщении №4 был успешно выполнен.
Машина перегрузилась, кнопка "диспетчера задач" стала активной в вызываемом меню КНТРЛ+АЛЬТ+ДЕЛ.... (Безопасный режим не ожил...)

В загрузившемся компьютере была выполнена диагностика согласно правилам: Сначала (отключив всё), AVZ - "Скрипт лечения/карантина..." - перегрузка, затем с подкл.интернетом "Сбор информации..."
и запуск HijackThis.

Логи, полученные при этом прилагаю.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Internet Explorer\romdrivers.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks','{0CD68AC9-FF63-3E61-626B-B663E62F6236}');
DeleteFile('C:\Program Files\Ask.com\UpdateTask.exe');
DeleteFileMask('C:\Program Files\Ask.com', '*.*', true);
DeleteDirectory('C:\Program Files\Ask.com');
DeleteFile('C:\Windows\Tasks\Scheduled Update for Ask Toolbar.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]

Не получилось. Выдаёт "Ошибка: ';' expected в позиции 7:13"

Поправил

[B]thyrex[/B], Поскольку, ожидая правки, дабы не терять времени я скачал прогу по предложенной ссылке [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url] и запустил полную проверку, думаю, что времени займёт не мало, решил оставить заниматься ей с компом до утра ... Завтра уже буду запускать правленный скрипт.
Если же принципиально важно СНАЧАЛА выполнить скрипт в AVZ, а только потом уже произвести полное сканирование программой "Malwarebytes' Anti-Malware" -
прошу уведомить меня об этом.
Спасибо Вам за Вашу работу!!!

Не принципиально. Проверяйтесь

Выслал карантин после выполнения последнего скрипта:
"Результат загрузки
Файл сохранён как 100226_122315_virus_4b87930394fad.zip
Размер файла 15236846
MD5 711a90b12fe3d74ee0bac73ca14a6fd3
Файл закачан, спасибо!"

ТАкже высылаю лог, сделанный запуском (с полным обследованием) программы "mbam-setup.exe".

Сейчас сделаю логи, согласно правилам.

Посмотрите, пожалуйста!

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Заражено ключей реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{fffc57db-1de3-4303-b24d-cee6dcdd3d86} (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\fieryads (Adware.FieryAds) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mycentria (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netprotocol (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPROTOCOL (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.

Заражено папок:
C:\Program Files\FieryAds (Adware.Adware.FearAds) -> No action taken.
C:\Program Files\MyCentria (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\Firefox (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\InfoBar (Adware.MyCentria) -> No action taken.

Заражено файлов:
C:\Program Files\FieryAds\FieryAdsUninstall.exe (Adware.FieryAds) -> No action taken.
C:\Program Files\MyCentria\MyCentriaUninstall.exe (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\Firefox\adcentria.uid (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\Firefox\adcentria.xml (Adware.MyCentria) -> No action taken.
C:\Documents and Settings\Я\Application Data\fieryads.dat (Adware.FieryAds) -> No action taken.
C:\WINDOWS\Debug\UserMode\explorer.exe (Heuristics.Reserved.Word.Exploit) -> No action taken.[/CODE]

Произвести удаление в МВАМ не представляется возможным, поскольку после нажатия кнопки "Удаление выделенного" программа зависает...

Произвёл удаление перечисленных папок в ручную, а ключи в ручную прямо из реестра удалил.

Что мне следует предпринять? Сделать логи?
(компьютер не перегружал)

Сделайте новый лог МВАМ

Программа нашла 2 зараж.объекта:
Папку MyCentria и
ключ реестра
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{fffc57db-1de3-4303-b24d-cee6dcdd3d86}
Вот этот ключ в реестре (LEGASY_NETPROTOCOL) не могу удалить. Папка удалилась.
Всё удаляю через МВАМ "найти объект", поскольку открытие любой папки или диска стало заблокировано. Через меню "Выполнить" тоже.
Ключ
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{fffc57db-1de3-4303-b24d-cee6dcdd3d86} при удалении в реестре (через "Найти объет" в программе МВАМ выходит: "Не удаётся удалить ЛЕГАСИ_ПРОТОКОЛ. Ошибка при удалении раздела"
Также, очень трудно писать вообще что либо, поскольку окно постоянно соскакивает (т.е. становиться серым, не активным)...
ЧТО ДЕЛАТЬ?

...
Быстрый запуск АВЗ опять показывает перехватчика SP**.SYS в неизменном количестве 7 штук.

Всё таки получилось передать лог МВАМ.

...Неужели всё так печально в моём случае??? :(

Пожалуйста, прошу сообщите, почему моя тема остаётся без ответа?
Ничего больше нельзя предпринять???

Выполните скрипт в AVZ
[code]begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPROTOCOL');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPROTOCOL');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте лог МВАМ

[QUOTE='Wet2007;594589']Быстрый запуск АВЗ опять показывает перехватчика SP**.SYS в неизменном количестве 7 штук.[/QUOTE]Так и должно быть

Выполнен последний скрипт.
После перегрузки - сканирование MBAM вновь показало наличие ключа LEGACY_NETPROTOCOL (лог "Неубиваемый ключ_2), но в этот раз программа спокойно его смогла удалить. Ещё раз перегрузился. Произвёл полное сканирование МВАМ (смотрите лог "Последняя проверка")
Вирус умер???
Какую окончательную проверку провести следует???

Чисто

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8

1) У меня после установкм SP3 много гемора возникает... А нельзя ли обойтись вторым Сервис Паком? (какой сейчас есть)
2) И как установить IE8, если у меня в ОС стандартный эксплоуэр вообще вырезан?
3) И самый главный вопрос: Вирус то умер??? Что то постоянно при открытии FireFox грузит страницу с "проверкой на вирус: найден троян. Удалить? _ОТМЕНИТЬ_ _ОК_" - и никакая отмена не даёт возможность снять эту ОТДЕЛЬНУЮ между прочим от других страницу (в отдельном окне). Можно снять только через заработавший теперь диспетчер задач. Но тогда умирают все окна "Лисы"... Поэтому приходиться терпеть его, пусть весит - больше не тревожит... Но вот сомнения гложат: а не остатки ли это ещё каких то троянских программ?

Пожалуйста, если можно, прямо по пунктам...

[QUOTE='Wet2007;596552']1) У меня после установкм SP3 много гемора возникает... А нельзя ли обойтись вторым Сервис Паком? (какой сейчас есть)[/QUOTE]Это как ключ от квартиры повесить рядом с кнопкой звонка :)

[QUOTE='Wet2007;596552']2) И как установить IE8, если у меня в ОС стандартный эксплоуэр вообще вырезан?[/QUOTE]Скачать с сайта Microsoft

[QUOTE='Wet2007;596552']3) И самый главный вопрос: Вирус то умер??? Что то постоянно при открытии FireFox грузит страницу с "проверкой на вирус: найден троян. Удалить? _ОТМЕНИТЬ_ _ОК_"[/QUOTE]Поищите среди дополнений FireFox неизвестное Вам и удалите

[QUOTE='thyrex;596643']Это как ключ от квартиры повесить рядом с кнопкой звонка[/QUOTE]
Причём оба не нужны по причине отсутствия двери.

Огромное Вам спасибо, Вы делаете прекрасную и очень нужную работу!
От себя же в заключении хотел бы ещё попросить совета о том, какой антивирус приобрести в бюджетном варианте, чтобы был не прожорливым монстром, но достаточно эффективным в среде интернет, а по итогам года не дорогой в обслуживании (стоимость ключей, обновлении) ???

[url]http://virusinfo.info/showthread.php?t=1550[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]32[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]